Outro cliente da startup em dificuldades Delve é atingido por uma grave violação de segurança

A startup de conformidade Delve continua a enfrentar uma série de controvérsias crescentes.

A TechCrunch verificou que a Delve realizou as certificações de segurança para a Context AI, uma empresa de treinamento de agentes de IA que recentemente relatou um incidente de segurança resultando em uma violação de dados na proeminente plataforma de hospedagem de aplicativos e sites Vercel.

Enquanto isso, a Lovable, que passou por seu próprio incidente de segurança, não está mais utilizando os serviços da Delve.

Para recapitular: no mês passado, a Delve enfrentou intensa escrutínio após um denunciante anônimo afirmar que a startup fabricou dados de clientes e utilizou auditores que apenas carimbavam documentos para suas certificações de conformidade. A Delve negou essas alegações.

Pouco depois, hackers atacaram um dos clientes de certificação de segurança da Delve, a LiteLLM, e injetaram malware em seu código de código aberto. Após a violação, a LiteLLM informou à TechCrunch que estava encerrando seu relacionamento com a Delve e buscando nova certificação.

A Delve também enfrentou acusações de apropriação de uma ferramenta de código aberto e de apresentá-la como trabalho proprietário sem a devida atribuição de licença. A reputação da startup deteriorou-se, levando a Y Combinator, onde a Delve se formou, a romper os laços.

Avançando para o último fim de semana, quando a Vercel anunciou que hackers haviam invadido seus sistemas internos e acessado certos dados de clientes. A empresa afirmou que a violação ocorreu após um funcionário baixar um aplicativo desenvolvido pela Context AI e conectá-lo à conta corporativa da Vercel hospedada no Google. Os atacantes exploraram o acesso desse funcionário à conta do Google para infiltrar-se em partes da infraestrutura interna da Vercel.

Uma vez que a Context AI foi identificada em conexão com o ataque à Vercel, Gergely Orosz, autor da newsletter de engenharia The Pragmatic Engineer, publicou no X que a Delve havia realizado a certificação de segurança da Context AI.

A Context AI confirmou agora à TechCrunch que anteriormente utilizava a Delve, mas desde então descontinuou a parceria e está atualmente em processo de nova certificação.

“Sim, a Context foi anteriormente uma cliente da Delve”, disse um porta-voz da Context AI à TechCrunch. “Após a cobertura jornalística sobre a Delve em março, transferimos nosso programa de conformidade para a Vanta e contratamos a Insight Assurance, uma empresa de auditoria independente, para realizar novas avaliações. Como parte da reavaliação, começamos a atualizar nossos materiais públicos e compartilharemos a nova atestação quando estiver completa”, acrescentou o porta-voz.

As certificações de segurança por si só não impedem incidentes de segurança. Seu objetivo é verificar se uma empresa estabeleceu políticas e processos para mitigar ataques e reduzir o risco de comprometimento de dados de clientes.

Por exemplo: a Lovable era uma cliente da Delve, mas após o surgimento das alegações do denunciante, a plataforma de codificação por vibração afirmou que havia encerrado seu relacionamento com a Delve no final de 2025. A empresa já concluiu uma certificação de segurança e está no processo de refazer outras.

No entanto, a Lovable admitiu na segunda-feira que havia disponibilizado inadvertidamente os dados de bate-papo dos clientes publicamente. A empresa também reconheceu ter descartado relatórios de vulnerabilidade que a alertaram sobre o problema meses antes. A Lovable pediu desculpas por inicialmente negar uma violação de dados, embora tenha esclarecido que o problema decorreu de um erro de configuração e não de um hack.

Desenvolvimentos ainda mais estranhos estão girando em torno da Delve. O denunciante anônimo, conhecido como DeepDelver, publicou outra postagem alegando que a Delve estava recusando reembolsos a clientes enquanto simultaneamente levava sua equipe de mais de 20 funcionários a uma reunião offsite no Havaí entre 15 e 19 de abril.

O denunciante forneceu evidências convincentes à TechCrunch apoiando a alegada viagem ao Havaí, mas a TechCrunch não conseguiu verificar outras alegações.

A Delve não respondeu aos pedidos de comentário e confirmação, e um e-mail enviado ao seu endereço de relações com a mídia retornou como não entregue.